İşyeri Hekimi Raporları Özlük Dosyasında Tutulabilir mi?

Sağlık raporu nerede durmalı?

Pek çok şirkette işe giriş muayenesi formu, periyodik muayene sonuçları ve hastane raporları aynı klasöre girer: çalışanın özlük dosyasına. Bordro, izin ve disiplin evrakıyla yan yana duran bir sağlık raporu, o dosyaya erişen herkesin çalışanın hastalık geçmişini görebilmesi anlamına gelir. Sağlık raporu özlük dosyası içinde tutulduğunda sorun yalnızca düzen değil, Kişisel Verilerin Korunması Kanunu (KVKK) açısından bir erişim ve ölçülülük sorunudur.

Bu yazı, İş Sağlığı ve Güvenliği (İSG) uzmanları, işyeri hekimleri ve İK yöneticileri için hazırlandı. Sağlık verisinin neden ayrı bir rejime tabi olduğunu, sağlık dosyasının özlük dosyasından nasıl ayrılacağını ve yöneticinin hangi bilgiyi alabileceğini mevzuat ve Kurul kararları üzerinden ele alıyoruz.

Sağlık verisi özel nitelikli veridir

KVKK'nın 6. maddesi, sağlık verisini özel nitelikli kişisel veriler arasında sayar. Bu verilerin işlenmesi kural olarak yasaktır ve ancak Kanun'da sayılan şartlardan biri varsa mümkündür. 7499 sayılı Kanun'la yapılan değişiklikten sonra bu şartlar arasında iki tanesi İSG için özellikle önemlidir: sır saklama yükümlülüğü altındaki kişilerce koruyucu hekimlik ve tıbbi teşhis amacıyla işleme (md. 6/3-e) ve istihdam ile iş sağlığı ve güvenliği alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olma (md. 6/3-f).

Kurum'un Özel Nitelikli Kişisel Veriler Rehberi, (f) bendinin işverene sınırsız bir alan açmadığını vurgular: veri, ancak ilgili iş mevzuatının gerektirdiği kadar ve işleme amacıyla bağlantılı, sınırlı ve ölçülü biçimde işlenebilir. Yani işe giriş muayenesinin yapılması hukuka uygun olabilir; ancak muayene sonucunun ayrıntısının şirket içinde dolaşması aynı gerekçeyle açıklanamaz.

Özel nitelikli veriler için Kurul'un 2018/10 sayılı kararı ayrıca ek güvenlik önlemleri öngörür: bu verilere erişecek çalışanlara düzenli eğitim, gizlilik taahhüdü, yetki kapsamının ve süresinin net tanımlanması, fiziksel ortamlarda yetkisiz giriş çıkışın engellenmesi ve elektronik ortamda şifreleme ile erişim kayıtlarının tutulması bunlardan bazılarıdır. Sağlık sektöründeki genel riskleri sağlık verilerinde KVKK riski yazımızda ele aldık.

Özlük dosyası ile sağlık dosyasının ayrılması

4857 sayılı İş Kanunu'nun 75. maddesi işverene her çalışan için bir özlük dosyası düzenleme yükümlülüğü getirir. Özlük dosyası; kimlik bilgileri, sözleşme, bordro, izin ve benzeri evrakın tutulduğu ve İK, bordro ve kimi zaman yöneticilerin eriştiği bir dosyadır. Kurul'un 2020/138 sayılı karar özetinde, 4857 ve 6331 sayılı Kanunlarda sağlık raporlarının özlük dosyasında yer alıp alamayacağına ilişkin özel bir düzenleme bulunmadığı tespitine yer verilmiştir.

İSG mevzuatı ise sağlık kayıtları için ayrı bir dosya tarif eder. İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği, işe giriş ve periyodik muayene sonuçlarının, maruziyet bilgilerinin, iş kazası ve meslek hastalığı kayıtlarının işyerindeki kişisel sağlık dosyalarında gizlilik ilkesine uyularak saklanmasını işyeri sağlık ve güvenlik birimlerinin ve ortak sağlık ve güvenlik birimlerinin (OSGB) sorumluluğuna bırakır.

Bu iki düzenleme birlikte okunduğunda pratik sonuç şudur: Sağlık raporunun asıl yeri, erişimi işyeri hekimi ve sağlık personeliyle sınırlı kişisel sağlık dosyasıdır. Özlük dosyasında yalnızca İK sürecinin gerçekten ihtiyaç duyduğu sonuç bilgisi (ör. “işe uygundur” ibaresi ya da istirahat süresi) bulunmalıdır. Bu ayrım, çalışan verisinin genel olarak nasıl korunacağını anlattığımız iş hukukunda KVKK yazımızdaki ölçülülük yaklaşımının sağlık verisine uygulanmasıdır.

Hekimin sır saklama yükümlülüğü

6331 sayılı İş Sağlığı ve Güvenliği Kanunu'nun 15. maddesi, sağlık muayenesi yaptırılan çalışanın özel hayatının ve itibarının korunması için sağlık bilgilerinin gizli tutulmasını öngörür. İşyeri hekimlerinin görevlerini düzenleyen yönetmelik de işyeri hekimi ve diğer sağlık personelinin, çalışanın kişisel sağlık dosyasındaki bilgileri gizli tutmakla yükümlü olduğunu açıkça belirtir.

Bu yükümlülük hekimin mesleki sır saklama yükümlülüğünün işyerindeki karşılığıdır. İşyeri hekimi işveren tarafından görevlendirilse ya da OSGB aracılığıyla hizmet verse bile, muayenede öğrendiği tanı ve tedavi bilgilerini işverenin talebiyle paylaşamaz. Hekimin görevi, sağlık bilgisini işin gerektirdiği sonuca dönüştürmektir: çalışan bu işi yapabilir mi, hangi koşulla yapabilir?

Kurul'un 2022/594 sayılı kararı bu sınırın önemini gösterir. Kararda, çalışanlara yapılan madde testi sonuçlarının işyerinde görevli ve işyeri hekimi olmayan bir çalışanın e-posta adresine gönderilmesi değerlendirilmiş; alıcının sır saklama yükümlülüğü altındaki bir işyeri hekimi olmadığı, gönderimin bu doğrulama yapılmadan gerçekleştiği tespit edilerek veri güvenliği yükümlülüğünün ihlal edildiğine karar verilmiştir.

Yöneticiye hangi bilgi verilebilir?

Yöneticiler ve İK, iş organizasyonu için bilgiye ihtiyaç duyar; ancak bu ihtiyaç genellikle teşhise değil sonuca yöneliktir. Aşağıdaki tablo, hangi bilginin kimde kalması gerektiğine ilişkin genel bir çerçeve sunar. Bu tablo kvkkrehberi.com tarafından genel bilgilendirme amacıyla hazırlanmıştır; işyerinin tehlike sınıfı, toplu iş sözleşmesi ve sektörel mevzuat sonucu değiştirebilir. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Saklama süresi

İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği, işverenin ilgili mevzuattaki özel süreler saklı kalmak kaydıyla çalışanların kişisel sağlık dosyalarını işten ayrılma tarihinden itibaren en az 15 yıl saklamasını öngörür. Aynı yönetmeliğe göre çalışan başka bir işyerinde işe başladığında yeni işveren kişisel sağlık dosyasını yazılı olarak talep eder; önceki işveren dosyanın onaylı bir örneğini bir ay içinde gönderir.

Bu süre, KVKK'nın “işlendikleri amaç için gerekli olan süre kadar muhafaza etme” ilkesiyle çelişmez; çünkü saklama yükümlülüğünü bir mevzuat hükmü belirlemektedir. Ancak süre, sağlık raporunun özlük dosyasında da ayrıca 15 yıl dolaşması için bir gerekçe değildir. Özlük dosyasına giren sonuç bilgisi, İK sürecinin kendi saklama süresine göre yönetilmelidir.

Süre dolduğunda kayıtların imhası, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e göre yapılır. Sicile kayıtlı veri sorumluları için periyodik imha aralığı altı ayı geçemez ve imha işlemlerinin kayıtları en az üç yıl saklanır.

Uygulama önerileri

Sonuç ve sonraki adım

Sağlık raporu özlük dosyası içinde tutulduğunda, çalışanın en hassas verisi gereğinden fazla kişinin erişimine açılır. KVKK'nın özel nitelikli veri rejimi, İSG mevzuatındaki gizlilik hükümleri ve hekimin sır saklama yükümlülüğü aynı sonuca işaret eder: sağlık bilgisi işyeri hekiminin yönettiği kişisel sağlık dosyasında, yöneticiye giden bilgi ise işin gerektirdiği sonuçla sınırlı kalmalıdır.

İlk adım olarak mevcut özlük arşivinizde sağlık raporu bulunup bulunmadığını ve sağlık dosyalarına kimlerin erişebildiğini kontrol edebilirsiniz. Bu alandaki ihlallerin olası yaptırımlarını 2026 KVKK idari para cezaları yazımızda inceleyebilirsiniz.

Sık sorulan sorular